Une application demande l’accès aux contacts pour proposer une fonctionnalité qui, en apparence, n’en a pas besoin. Un magasin conserve l’adresse électronique utilisée lors d’un achat, puis la croise avec d’autres données pour établir un profil. Dans les deux cas, la question essentielle n’est pas seulement de savoir si l’information a été fournie volontairement. Il importe également de savoir ce que l’on en fait, dans quel but, pendant combien de temps et avec quelles garanties.
C’est précisément l’objet de la protection des données personnelles : l’ensemble des principes, des droits et des responsabilités qui limite les décisions des organisations publiques et privées sur les informations relatives à des personnes. Son but n’est pas de transformer chaque donnée en secret ni d’empêcher tout usage. Il s’agit de faire en sorte que cet usage repose sur une justification, soit compréhensible, demeure proportionné à sa finalité et puisse être contesté.
Qu’est-ce qu’une donnée personnelle
Une donnée personnelle est une information relative à une personne identifiée ou identifiable, y compris de manière indirecte. La définition englobe des exemples évidents, comme le nom ou le numéro d’une pièce d’identité, mais aussi des identifiants en ligne, des données de localisation ou des combinaisons d’éléments permettant de distinguer un individu.
Cette idée apparaît aussi bien dans la Convention 108+ du Conseil de l’Europe que dans le Règlement général sur la protection des données de l’Union européenne. Ce sont des références influentes, bien que leur portée juridique ne soit pas universelle et que chaque pays puisse adopter des définitions et des règles différentes.
Le fait qu’une donnée ne relève pas de l’intime ne la rend pas pour autant insignifiante. Un horaire habituel, un achat ou une adresse figurant dans un registre peuvent sembler des éléments anodins lorsqu’ils sont pris isolément. En les regroupant, il devient possible d’en déduire des routines, des préférences ou des relations. La possibilité raisonnable de relier l’information à une personne importe davantage que la présence de son nom.
C’est pourquoi il convient de distinguer deux techniques :
- L’anonymisation vise à empêcher raisonnablement que l’information puisse à nouveau être attribuée à une personne.
- La pseudonymisation sépare ou remplace les identifiants, tout en permettant de réattribuer les données grâce à des informations supplémentaires.
Dans le cadre européen, les données pseudonymisées demeurent des données personnelles tant qu’existe cette possibilité de réidentification. Retirer le nom d’un tableau ne garantit pas, à lui seul, l’anonymat.
Idée clé : Une donnée personnelle n’a pas besoin d’être secrète. Il suffit qu’elle se rapporte à une personne identifiable de manière directe ou indirecte.
Protéger la donnée tout au long de son cycle de vie
La protection ne s’arrête pas au moment de la collecte. Le traitement est une notion vaste : elle englobe le fait de recueillir, organiser, consulter, croiser, partager, conserver, modifier et effacer des informations. Une organisation peut avoir obtenu une donnée de manière légitime tout en créant une difficulté si elle la réutilise pour une finalité incompatible, la conserve sans nécessité ou la partage sans garanties suffisantes.
Songeons à un commerce qui demande une adresse électronique pour envoyer le reçu d’un achat. L’utiliser par la suite pour enrichir un profil publicitaire relève d’une décision différente. La transmission initiale ne suffit pas, à elle seule, à déterminer si ce nouvel usage est légitime, nécessaire ou prévisible.
Cela explique également pourquoi une donnée accessible au public ne devient pas automatiquement libre de toute réutilisation. Consulter un registre dans un but précis et le télécharger massivement pour classer des personnes sont deux activités distinctes. Les exceptions et les règles applicables dépendent de la juridiction compétente, mais le changement de contexte demeure une question pertinente.
Vie privée, intimité et protection des données ne sont pas la même chose
Ces trois concepts sont liés, mais remplissent des fonctions distinctes. Le droit à la vie privée protège une sphère d’existence contre les ingérences injustifiées. L’intimité renvoie généralement à sa zone la plus réservée : la santé, les relations personnelles, les convictions ou d’autres aspects particulièrement sensibles.
La protection des données se concentre sur les opérations effectuées sur des informations identifiables. Elle peut entrer en jeu même lorsque le contenu ne relève pas de l’intime. Par exemple, une liste publique peut être utilisée de manière disproportionnée ou en dehors de la finalité qui en a justifié la publication.
Elle n’équivaut pas non plus à la sécurité informatique. La sécurité vise à empêcher les accès non autorisés, les pertes ou les altérations. Elle est indispensable, mais ne répond pas à toutes les questions. Une base de données peut être parfaitement chiffrée tout en recueillant plus d’informations que nécessaire ou en les employant pour une finalité injustifiée. Le rapport entre sécurité numérique et protection des données est un rapport de complémentarité, et non d’identité.
Les principes traduits en questions pratiques
Des références telles que la Convention 108+ et le RGPD s’accordent sur plusieurs principes généraux. Elles ne constituent pas une loi mondiale unique, mais fournissent un vocabulaire utile pour évaluer le traitement des données. Au quotidien, ces principes peuvent se traduire ainsi :
- Licéité, loyauté et transparence : existe-t-il une justification valable ? La personne reçoit-elle une information claire ? L’usage correspond-il à des attentes raisonnables ?
- Finalité : a-t-on expliqué dans quel but les données sont collectées ? Envisage-t-on de les employer ensuite pour un motif incompatible ?
- Minimisation et proportionnalité : demande-t-on uniquement ce qui est nécessaire ? Une application de lampe torche, par exemple, a difficilement besoin du carnet d’adresses.
- Exactitude : existe-t-il des mécanismes pour rectifier des informations erronées susceptibles d’affecter une personne ?
- Limitation de la conservation : les données sont-elles supprimées ou anonymisées lorsqu’elles ne sont plus nécessaires ?
- Sécurité : réduit-on les risques de perte, d’altération, de fuite ou d’accès non autorisé ?
- Responsabilité démontrable : l’organisation peut-elle expliquer et documenter les décisions qu’elle a prises ?
L’Agence espagnole de protection des données présente ces principes dans le cadre du régime européen. Leur utilité la plus large réside dans l’obligation de se poser des questions avant d’accumuler des informations « au cas où ».
Idée clé : Protéger les données ne consiste pas seulement à bien verrouiller une base de données, mais à justifier sa raison d’être, ce qu’elle contient et la manière dont elle est utilisée.
Le consentement est important, mais il ne résout pas tout
Il est fréquent de réduire la protection des données au fait de accepter ou de refuser en cochant une case. Cette vision est insuffisante. Dans certains systèmes juridiques, y compris le droit européen, le consentement n’est que l’une des différentes bases susceptibles de rendre un traitement légitime. Il peut également exister des obligations légales, des contrats, des motifs d’intérêt public ou d’autres fondements définis par la réglementation applicable.
Cela ne signifie pas pour autant que le consentement soit décoratif. Lorsqu’il s’applique, il doit réunir les conditions fixées par la législation pertinente. Cependant, une acceptation ne rend pas n’importe quelle pratique acceptable : les principes de finalité, de proportionnalité, de transparence et de sécurité demeurent pertinents.
La question de fond tient à la capacité réelle de comprendre et de contrôler des décisions qui influent sur sa propre vie. Ce contrôle n’équivaut pas nécessairement à un droit de propriété sur l’information. Les données peuvent mettre en jeu les droits d’autres personnes, des obligations légales ou des intérêts publics. Parler de garanties, de limites et de responsabilités s’avère généralement plus précis que de les appréhender comme un objet de propriété absolue.
Quels droits une personne peut-elle avoir
Les droits concrets varient selon les pays. À titre de référence ciblée, le RGPD européen reconnaît, entre autres, des droits d’information, d’accès, de rectification, d’effacement, de limitation du traitement, de portabilité, d’opposition ainsi que des garanties face à certaines décisions automatisées. L’Agence espagnole de protection des données résume ce catalogue pour les personnes soumises à ce cadre juridique.
En pratique, ces mécanismes peuvent permettre à une personne de demander :
- quelles informations existent à son sujet et d’où elles proviennent ;
- dans quel but elles sont utilisées et avec qui elles sont partagées ;
- comment rectifier des données inexactes ;
- à quel moment elle peut s’opposer à un usage ou demander leur suppression ;
- si une décision importante a été prise exclusivement par le biais de processus automatisés.
Tous ces droits n’existent pas sous un nom, une portée, un délai ou une exception identiques dans chaque juridiction. Face à une situation concrète, il convient de se référer à la législation locale et à l’autorité compétente. Cette explication propose une vue d’ensemble conceptuelle et ne constitue pas un conseil juridique.
Une garantie pour l’autonomie, non une interdiction absolue
L’information permet de fournir des services, de mener des recherches, de prévenir les fraudes, d’informer sur des sujets d’intérêt public et d’innover. La protection des données ne devrait pas présumer que toute circulation est préjudiciable. Elle ne devrait pas non plus admettre que l’innovation ou l’intérêt public justifient n’importe quelle forme de surveillance, de profilage ou d’accumulation de données.
Cet équilibre exige des règles connues, des finalités légitimes et des mesures proportionnées. La liberté d’expression, l’accès aux documents, la recherche et la sécurité peuvent nécessiter des exceptions ou des traitements particuliers ; leur portée doit reposer sur une base juridique et s’accompagner de garanties appropriées. La Convention 108+ reconnaît précisément la nécessité de concilier la protection des données avec d’autres droits et intérêts légitimes.
Dans une perspective libérale, ces garanties protègent l’autonomie individuelle face au pouvoir informationnel, qu’il soit étatique ou privé. Mais elles limitent également le pouvoir réglementaire : une restriction vaste et imprécise peut entraver les échanges volontaires, l’expression ou l’innovation sans pour autant améliorer réellement la sécurité des individus. La réponse raisonnable ne réside ni dans l’absence de règles ni dans un contrôle total, mais dans la responsabilité, la proportionnalité et la possibilité de réexamen.
Idée clé : L’intérêt public n’abolit pas toutes les limites, pas plus que la protection des données n’interdit tout usage. La question centrale est de savoir si le traitement est justifié et proportionné.
Comment évaluer l’utilisation de données personnelles
Lorsqu’une plateforme, une entreprise ou un organisme sollicite des informations, cinq questions constituent un bon point de départ : quelles données sont recueillies, dans quel but, pendant combien de temps, avec qui sont-elles partagées et de quelles options dispose la personne ? Si les réponses sont vagues, changent sans explication ou n’ont aucun rapport avec le service, il y a de bonnes raisons d’examiner cette pratique avec une vigilance accrue.
La protection des données personnelles rend visibles des décisions qui, autrement, resteraient dissimulées au sein de formulaires, de bases de données et d’algorithmes. Son apport essentiel est simple : quiconque utilise des informations sur autrui doit pouvoir en expliquer les raisons, se limiter au nécessaire et répondre des conséquences. Pour déterminer quels mécanismes peuvent être exigés dans une situation concrète, l’étape suivante consiste toujours à examiner la réglementation de la juridiction compétente.
Partager